请优先使用仓库的 GitHub Security Advisory 私密报告功能。不要在公开 Issue 中粘贴 API Key、访问令牌、带签名 URL、原始私有音频或包含敏感内容的转写包。

报告应包含：受影响版本、最小复现步骤、预期/实际行为，以及已经脱敏的日志。维护者确认修复发布前，请不要公开可直接利用的细节。

本项目只从环境变量读取云端凭据，不提供 .env 自动加载，也不会把凭据持久化到产物。默认清单不记录源文件绝对路径。云端后端仍会把标准化音频发送给相应服务商；使用者必须自行确认内容授权、数据驻留、服务条款和账户权限。

只有 GitHub Actions 的手动云端冒烟工作流会读取仓库 Secrets。普通拉取请求 CI 不访问付费服务。